Les mises à jour sécurité du mois d'octobre

Microsoft vient de rendre public les dernières mises à jour de sécurité pour Windows et Office. Contrairement à ce que nous vous rapportions dans notre actualité « Les mises à jour sécurité du mois d’octobre, ce ne sont pas 11, mais 10 mises à jour qui sont mises à la disposition de l’utilisateur.

Faille critique de Windows

Parmi ces dix mises à jour, six concernent le système d’exploitation de Microsoft, Windows XP. Deux sont jugées critiques et permettraient à une personne malintentionnée d’exécuter à distance des codes malicieux sur un ordinateur tiers. Les mises à jour palliant ce défaut sont :

• MS06-57 : Retire une faille présente dans le Shell de Windows
• MS06-061 : Retire une faille présente dans le service Microsoft XML

Failles plus modérées de Windows

Une seule mise à jour est considérée comme importante. La MS06-063 permet d’empêcher une attaque par déni de service en raison d’une faille dans le processus Server de XP.

Deux mises à jour sont jugées moyennement importantes. La première (MS06-56) porte sur une faille dans ASP.NET qui pourrait engendrer la divulgation d’informations confidentielle. Cette vulnérabilité touche en fait les serveurs utilisant .Net Framework 2.0 ces derniers pouvant injecter un script dans le navigateur Internet du client recueillant ainsi certaines informations. Sachez tout de même que ce script ne peut se lancer sans l’autorisation de l’utilisateur, d’où son niveau modéré.

La deuxième (MS06-65) comble une faille de sécurité permettant l’exécution de codes à distance. Présente dans Windows Object Packager, cette faille résulte de la manière dont l’Object Packager gère les extensions de fichiers. Windows Object Packager est un utilitaire permettant d’intégrer un document à l’intérieur d’un autre document sous la forme d’icône. Lorsque l’on double clique sur l’icône, l’application utilisée pour crée le fichier intégré s’ouvre.

Un pirate pourrait dessiner un fichier spécialement conçu pour exploiter ce trou et prendre contrôle d’une machine. Néanmoins, ce genre de fichier n’est pas à la portée de tout le monde et cette faille demande aussi une grande part d’interaction de la personne attaquée pour être exploitée. Cela explique donc pourquoi Microsoft n’a pas jugé nécessaire de mettre un niveau d’importance plus élevé, contrairement à la plupart des attaques prenant le contrôle d’une machine.

Enfin, la dernière faille (MS06-064) est de faible importance et vient combler un trou dans la couche TCP/IP de Windows, qui pourrait autoriser une attaque par déni de service. Touchant en fait la gestion de l’IPv6 de Windows, cette faille pourrait forcer une déconnexion TCP. La faible portée de cette faille, selon la firme de Redmond, semble donc justifier son niveau d’alerte.

Les mises à jours critiques d’Office

Toutes les mises à jour touchant à Office 2003 ont été considérées comme critique et comblent toutes une faille permettant l’exécution de code à distance.

• MS06-58 : concerne Powerpoint 2003
• MS06-59 : concerne Excel 2003
• MS06-60 : concerne Word 2003
• MS06-62 : concerne toutes les suites Office 2000, 2002 et 2003